Плохо подготовленная процедура увольнения сотрудника -- серьезный фактор риска. Руководители служб безопасности должны тщательно ее продумать.
Плохо подготовленная процедура увольнения сотрудника — серьезный фактор риска. Руководителям служб безопасности необходимо тщательно ее продумать.
Ян Чизман — президент небольшой консультационной фирмы LVA Communications c филиалами в Нью-Йорке и Кремниевой Долине, которая специализируется на связях с общественностью. Когда-то свою карьеру он начинал менеджером по обработке данных в страховой компании; возможно, именно этот факт сыграл решающую роль при разработке процедуры увольнения служащих LVA.
LVA довольно часто выполняет заказы клиентов, работающих в области высоких технологий, и ее сотрудники имеют привилегированный доступ к клиентским информационным системам.
«Большинство клиентов позволяют нам проникать за периметр их межсетевых экранов, — отмечает Чизман. — И хотя компании пристально следят за блокировкой доступа к информации для своих бывших сотрудников, путь к системе тем, кто работал по контракту, зачастую остается открытым. Если в компании, с которой подписан соответствующий договор, кто-то увольняется, клиенты могут не знать об этом на протяжении многих месяцев. Иногда такая информация до них вообще не доходит».
Поэтому, если сотрудник LVA увольняется, компания обязательно сообщает об этом всем заинтересованным сторонам. Как только сотрудник покидает компанию, инспектор отдела кадров звонит клиентам, задания которых тот выполнял. «После этого мы направляем официальное электронное письмо, чтобы иметь документальное подтверждение получения клиентами соответствующей информации, — добавил Чизман. — Сообщение носит весьма специфичный характер: ?Данный человек покинул нашу компанию и больше не должен иметь права на вход в ваши помещения и получать доступ к вашим данным?».
После целого ряда получивших широкую огласку инцидентов, в ходе которых бывшие сотрудники посеяли в компаниях панику, получив доступ к их информационным системам, процедуры увольнения стали значительно более строгими и оперативными. Однако появление информации о новых брешах показывает, что данным вопросам просто не уделяется достаточного внимания. Нельзя сказать, чтобы задача была чересчур сложной, ведь обновление паролей и изъятие карт доступа вряд ли можно сравнить со строительством ракет. Ни для кого не секрет, почему действия, связанные с расставанием с работниками, проводятся недостаточно тщательно. Увольнение сотрудника или понижение его в должности — малоприятная процедура, о которой предпочитают не думать даже самые профессиональные менеджеры. А что мы имеем в результате? С точки зрения безопасности процесс увольнения зачастую сопровождается полнейшим хаосом. Бывший директор службы безопасности компании Тор Layer Networks Джо Маги справедливо заметил: «Процесс увольнения часто сопровождается нарушениями установленного порядка, что может повлечь за собой массу негативных последствий. Здесь очень легко упустить что-то такое, что может оказать отрицательное воздействие на обеспечение безопасности в дальнейшем».
Впрочем, тщательно соблюдая процедуру, следя за правильным оформлением необходимых документов и по-человечески подходя к увольняемым сотрудникам, руководитель службы безопасности способен упростить этот процесс для всех вовлеченных в него сторон (хотя сделать его совсем безболезненным вряд ли удастся). При этом защищаются и материальные ценности, и информация на электронных носителях, а уходящие сотрудники и их начальники сохраняют лицо. Позволим себе привести некоторые советы специалистов, касающиеся часто допускаемых упущений и непонимания специфики данного процесса.
Отсутствие прогресса
Во многих ли компаниях четко отлажена процедура увольнения? Получить точные цифры весьма затруднительно, однако как отмечает Маргарет Маккослэнд, партнер юридической фирмы Blank Rome, специализирующейся на трудовом законодательстве, ее опыт общения с клиентами позволяет сделать вывод о том, что около половины компаний со штатом от 50 до 100 человек уже определили порядок проведения увольнения. В крупных компаниях дела обстоят еще лучше — здесь этот показатель составляет около 80%. В то же время Маккослэнд утверждает, что нарушение установленных правил создает дополнительные трудности несмотря на документирование процедуры в целом.
Типичным примером весьма распространенных, но малоэффективных мер Маккослэнд называет запрет допуска уволенных сотрудников в помещения компании. Вместо того чтобы воспрепятствовать возможной краже данных и пресечь желание насолить своему бывшему работодателю каким-то иным образом, подобная практика только раззадоривает. «Иногда работодатели спрашивают меня: ?Нужно ли выпроваживать отсюда посторонних?? — заметила Маккослэнд. — И я отвечаю: ?Зачем? Разве они собираются что-то сломать? Или что-то украсть? Нет. А вот излишние подозрения провоцируют их на ответные действия».
«Если вы начнете демонстрировать уволенному сотруднику, что он представляет серьезную угрозу безопасности, то риск заметно возрастет, — подчеркнул Дэвид Грилман, редактор портала HR.com, посвященного проблемам управления персоналом. — У увольняемых сотрудников нет пистолета, который они могли бы выхватить во время своей последней беседы с работодателем. Но если они почувствуют себя униженными и ущемленными в правах, им ничего не стоит сбегать домой и вернуться обратно уже с оружием. Большинство руководителей чересчур мнительны. Из соображений безопасности они готовы в сопровождении охраны выставить за дверь хороших и добросовестных людей. В результате моральный дух в компании снижается, а вероятность предъявления судебных исков в связи с незаконным увольнением и иных ответных действий заметно возрастает».
Руководители служб безопасности крупных организаций разделяют эту точку зрения.
«Вы, наверное, попросите своих людей принять соответствующие меры, — заметил Грант Грабтри, вице-президент по корпоративной безопасности компании Alltel, специализирующейся на предоставлении услуг связи, с оборотом в 8 млрд. долл. — В некоторых случаях, возможно, это создаст определенные гарантии, однако мы прибегаем к подобным действиям лишь в исключительных случаях. Думаю, многие из моих коллег согласятся со мной».
По словам Маккослэнд, существующая практика увольнений зачастую лишь незначительно затрагивает вопросы информационной безопасности, если затрагивает их вообще. Вместо этого основное внимание уделяется тому, чтобы избежать обвинений в незаконном увольнении. Компании привыкают вести разбирательства, связанные с увольнением сотрудников. Руководители пытаются спрогнозировать последующее развитие событий и задают себе вопрос: «Стоит ли увольнять этого человека? А если да, то как лучше это проделать?». На этом все, как правило, и заканчивается.
Отключение доступа к информационной системе — еще одна область, которая требует тщательно продуманной политики.
«Именно здесь наблюдаются наиболее серьезные упущения в части информационной безопасности, — подчеркнул Джузеппе Чиммино, директор корпоративных систем компании Discovery Communications, которая владеет телевизионными каналами Discovery Channel, Animal Planet и The Learning Channel. — Системные администраторы смотрят только на биты и байты, проходящие через межсетевой экран, не обращая внимания на учетные записи того, кто уже не работает в организации».
Информации об этом не так уж много, но имеющиеся сведения подтверждают заявления Чиммино. Результаты исследования сложившейся практики управления учетными записями, опубликованные в марте 2003 года компанией Novell, показывают: 43% опрошенных организаций ликвидируют учетные записи уволенных сотрудников не ранее чем через два дня, а у 15% на это уходит более двух недель. Это может показаться невероятным, но нередки случаи, когда они не удаляются вовсе.
По свидетельству Маккослэнд, хуже всего дела обстоят в небольших компаниях: более чем на два дня опаздывают 54% организаций, в которых работают менее 10 тыс. человек. Что касается компаний, в которых насчитывается более 10 тыс. сотрудников, то здесь доля тех, кто придерживается подобной практики, не превышает 32%. В Европе реагируют, как правило, медленнее, чем в Северной Америке и Азии. Более 20% европейских компаний сохраняют лишние учетные записи по две недели и дольше, в то время как в Северной Америке и Азии таких организаций лишь около 10%.
Все виды доступа
Существует мнение, что наивысшая опасность исходит от сотрудников, которые были уволены внезапно — возможно, в результате резкого снижения эффективности работы предприятия и последовавшего за этим сокращения штатов — и которые затаили обиду на руководство. Возможно, это справедливо, но специалисты утверждают, что зона риска гораздо более обширна.
Сотрудники, покинувшие компанию добровольно, вполне возможно, захотят использовать в своих интересах слабые места бывшего работодателя, чтобы продвинуться по служебной лестнице у конкурента. В уже упоминавшемся исследовании компании Novell приводится пример бывшей сотрудницы одного из крупных банков, работающей теперь в конкурирующей организации. По ее словам, она смогла обратиться к своей прежней голосовой почте даже спустя несколько месяцев после увольнения, получая беспрепятственный доступ к конфиденциальной информации банка. Подобные риски распространяются и на действующих работников, поскольку переходы из одного подразделения в другое регистрируются, как правило, чаще, чем увольнения. Уровень доступа, предусмотренный для какой-то одной должности, не соответствует правам доступа для другой, но многие ли компании оперативно вносят необходимые изменения при переходе сотрудника с одной позиции на другую?
«Подобное положение вещей наблюдается сплошь и рядом, — заметил Дипак Танеджа, директор по технологиям компании Netegrity, специализирующейся на программных средствах обеспечения безопасности. — Это действительно насущный вопрос. Причина в том, что внутренние перемещения обычно не отслеживаются. Когда Джо из информационной службы переходит в службу поддержки клиентов, его права доступа не меняются либо по недосмотру, либо потому, что в течение определенного периода никаких изменений вносить не требуется. Но когда через пять лет функции поддержки клиентов передаются независимой организации, а Джо увольняют, никто не вспоминает о том, что компания избавляется от человека, все еще имеющего права системного администратора. До тех пор, пока не станет слишком поздно».
Конечно, потенциальный риск выходит далеко за пределы обычного электронного вандализма. Многие дважды подумают, прежде чем ломать что-либо, но при этом совершенно спокойно похищают информацию. «Большинство увольняемых даже не задумываются о том, что нарушают закон в момент ?заимствования? интеллектуальной собственности или коммерчески важной информации», — предупреждает опытный руководитель службы безопасности, пожелавший остаться неизвестным.
По словам Берни Кауэнса, вице-президента компании Rainbow Technologies, одно из возможных решений заключается в том, чтобы заранее составить список людей, обладающих высоким уровнем доступа, и в случае их увольнения оперативно принимать необходимые меры. «Такие люди вовсе не обязательно занимают большие должности — на практике они вполне могут находиться на нижних ступенях иерархии, — отметил Кауэнс. — Необходимо сформировать особую комиссию, в которую должны войти юристы и кадровики, а также специалисты по информационной безопасности. Комиссии поручается проанализировать, к каким конкретно системам имеет доступ каждый из сотрудников, каким образом и в какое время этот доступ должен блокироваться и когда необходимо изменять пароли».
А что делать со «средним» работником, который не обладает правами системного администратора, но тем не менее при желании вполне может повредить или украсть информацию?
«На мой взгляд, следует создать так называемые ?профили? доступа, описывающие права каждой из должностей, — предлагает Мишель Дроле, директор консультационной компании Conqwest. — Каждому сотруднику присваиваются привилегии доступа, соответствующие занимаемой должности. Собрав всю информацию в едином профиле, проще выявлять случаи, когда работники получают более высокие права, чем следует. Кроме того, упрощается задача изменения прав доступа при увольнении сотрудника или его перемещении внутри компании. Межсетевые экраны здесь бессильны. Все определяется правами доступа».
Для поддержания системы разграничения прав доступа в актуальном состоянии необходимо регулярно вносить в ее конфигурацию необходимые изменения. В Discovery, например, менеджеры регулярно получают от системного администратора электронные письма с контрольным списком их подчиненных, имеющимся у информационной службы. Для сотрудников, которые работают по контракту или выполняют разовые поручения, создаются специальные учетные записи с указанием «срока завершения полномочий». Если срок действия прав доступа не продляется, запись блокируется. Теоретически учетную запись следует ликвидировать в тот день, когда работник увольняется, но на практике по тем или иным причинам этого не происходит. Поэтому возможность указания даты завершения полномочий оказывается весьма полезной.
С появлением так называемых активных каталогов управление учетными записями может осуществляться с помощью отдельной системы, которая часто подключается к системе управления персоналом. Управление активными каталогами, особенно в крупных и децентрализованных организациях, рассматривается как один из способов назначения и ликвидации прав доступа, который не требует дорогостоящего привлечения сотрудников информационной службы.
«Как только отдел кадров выдает соответствующее предписание, учетная запись сотрудника отключается, — пояснил Зигфрид Яготт, консультант ИТ-службы Siemens Business Services. Яготт руководил проектом внедрения системы управления активными каталогами компании Aelita Software в подразделении Siemens Power Generation, насчитывающем 22 тыс. работников. — Отключение производится на два-три месяца, после чего данные удаляются, но не совсем, потому что по законам Германии они должны храниться в течение 10 лет. Функция отключения оказывается весьма полезной, потому что иногда люди возвращаются, а восстановить отключенную учетную запись с тем же именем пользователя и паролем не представляет никакого труда».
Все по плану
Несмотря на все свои достоинства, технические решения представляют собой лишь один из этапов на пути к внедрению хорошо продуманной процедуры увольнения. Некоторым уже удалось пройти этот нелегкий путь. Примером такой компании является British Telecom. Энди Ходгсон, руководитель подразделения глобальных услуг безопасности British Telecom, сообщил, что при наличии 100 штатных сотрудников и виртуальной службы безопасности его подразделение (а всего в компании насчитывается 20 тыс. работников в 43 странах мира) успешно справляется со своими задачами. Начальник увольняемого сотрудника должен заполнить документ, в котором перечисляются все необходимые действия, и поставить в конце свою подпись. Служба безопасности регулярно проводит проверку согласованности выполнения данных операций.
Важность этого документа, по словам Ходгсона, состоит в том, что один человек отвечает за выполнение целого ряда мероприятий, связанных с обеспечением безопасности в процессе увольнения. Перечень необходимых действий предусматривает не только контроль за сдачей сотрудником своей идентификационной карты и пропуска, не только блокировку его прав доступа, но и проверку возврата имущества: офисных ключей, транспортных средств, сотовых телефонов и портативных компьютеров.
Урок ясен. Возможно, менеджеры будут стонать еще от одной возложенной на их плечи административной процедуры, но нельзя забывать, что сегодня процесс расставания компании со своими сотрудниками организован из рук вон плохо. Подробный список контрольных мероприятий British Telecom (www.csoonline.com/printlinks) некоторыми может рассматриваться как чересчур навязчивый, но нет сомнений в том, что все эти действия должны выполняться до обнаружения бреши, проделанной бывшим работником в системе информационной безопасности, а не после этого.
Malcolm Wheatley. Firing line. CSO, September 2003.ЛОЖНАЯ СОЛИДАРНОСТЬ
Позволим себе привести пугающий комментарий из анонимного источника, хорошо знакомого с брешами в системе безопасности, которые характерны для целого ряда компаний, входящих в список Fortune 500.«Сотрудники, покидающие компанию по собственному желанию, вызывают не меньше вопросов, чем те, кого увольняют принудительно, — сообщает наш источник. — Бывшие коллеги из чувства ложной солидарности вполне могут восстановить для оставившего компанию товарища подключение к сети. Иногда это позволяет ему получить доступ к ?персональной? информации. Кроме того, сослуживцы могут передать уволенному архив его электронной почты. Благодаря этому у него появляется возможность поддерживать контакты со своими прежними клиентами. В некоторых случаях бывшие сотрудники даже используют заблокированную ранее учетную запись системы электронной почты или возобновляют доступ к виртуальной частной сети. Это не выдумка — такая ситуация сплошь и рядом возникает в реальной жизни. Причем вычислить, когда это произошло и кто виноват в случившемся, крайне сложно». ***
Как сохранить служебную информацию при увольнении сотрудников
Андрей Миронов ***ЧЕРНЫЙ ХОД В СЕТЬ
Модемы-«шпионы» зачастую ускользают от внимания ИТ-службы
Заподозрив грядущее увольнение, сотрудник начинает готовить себе «черный ход» в систему работодателя. Лазейкой можно будет воспользоваться после получения уведомления о том, что компания больше не нуждается в его услугах. Далее сюжет должен развиваться как в популярном триллере. Но на практике организовать черный ход гораздо труднее, чем представляют себе авторы бестселлеров, а еще сложнее спрятать его от чужого глаза.
Однако все это происходит до той поры, пока вы не начнете использовать модемы. «В любой крупной организации есть модемы, о существовании которых ИТ-служба даже не подозревает, — заметил Джон Моррис, исполнительный директор компании Ambersail, консультирующей по вопросам безопасности. — Барьеры, выстраиваемые с помощью межсетевых экранов, для них не преграда. Компании тратят целое состояние на межсетевые экраны и процедуры безопасности, но для того, чтобы их преодолеть, достаточно обычного модема».
С помощью специальных средств слежения в Ambersail осуществляют контроль за модемами-«шпионами». Клиентами компании являются крупнейшие мировые корпорации и финансовые организации.
«Нам известны примеры систем, к которым модемы подключаются даже без пароля, — сообщил Моррис. — Достаточно набрать нужный номер, и вы получаете права администратора. Просто удивительно. Обычно на долю модемов приходится до 15% документированных лазеек в корпоративные информационные системы».
Почему так много? В этом часто виноваты и сами сотрудники информационных служб, которые устанавливают модемы, потому что они облегчают им устранение неисправностей с помощью удаленного подключения. Производители оборудования также обеспечивают модемный доступ к своим продуктам для проведения диагностики и осуществления технической поддержки.
Внимательный анализ часто позволяет сократить число модемов, а оставшиеся перевести в режим строгого парольного доступа. При этом, если работник увольняется, все пароли обновляются.
«Нельзя полностью отказаться от использования модемов — точно так же, как нельзя предотвратить увольнение сотрудников, — подчеркнул Моррис. — Но если знать, где именно находятся модемы, можно заблокировать доступ уволенного работника к системе».